如何在Python Cloud Function中引用Secret Manager挂载的密钥？

当你把Secret Manager的密钥挂载到Cloud Function的指定路径后，该路径会对应一个包含密钥明文的文件，直接读取这个文件是比调用SDK更轻量高效的方案——不需要初始化客户端、减少网络请求，代码也更简洁。

实现代码 #

直接读取挂载路径的文件即可获取密钥值：

def read_mounted_secret(secret_path):
    try:
        with open(secret_path, 'r') as f:
            return f.read().strip()
    except FileNotFoundError:
        raise Exception(f"Secret file not found at path: {secret_path}")
    except PermissionError:
        raise Exception(f"No permission to read secret at path: {secret_path}")

# 使用示例
key6_value = read_mounted_secret('/api/secret/key6')
# 后续用key6_value调用目标API

优势对比 #

• 无需依赖google-cloud-secret-manager客户端库，减少部署包体积
• 避免网络请求，降低延迟并减少API调用次数（节省成本）
• 代码逻辑更简单，无需处理SDK初始化、认证等额外步骤

注意事项 #

• 部署Cloud Function时，需确保已正确配置密钥挂载：指定要挂载的Secret Manager密钥（key6）和目标路径（/api/secret/key6）
• 确保Cloud Function使用的服务账号拥有roles/secretmanager.secretAccessor权限，否则会出现权限错误

内容的提问来源于stack exchange，提问作者Payback